SSH se zamrzava preko OpenVPN-a? Prvo izmjerite MTU putanje

SSH se poveže, prompt se pojavi i sesija umre čim naredba vrati nešto obimno. Eho još kratko radi, a zatim veza istekne dok klijent i dalje prikazuje tunel kao podignut. Sesija koja je zdrava dok ne stignu podaci obično udara u ograničenje veličine, a ne u grešku SSH-a. Provjere ispod su poredane tako da se najjeftinije objašnjenje prvo isključi.

Pročitajte oblik kvara prije nego diraite profil

Mali paketi prolaze, puni ne. Prompt, baner ili jedan pritisak tipke lako se smjeste; listing direktorija, preuzimanje ili zalijepljeni blok ne. Veličina pri kojoj se ponašanje mijenja je trag, a ne činjenica da je SSH program u pitanju.

Mehanizam je otkrivanje MTU putanje, koje zavisi od povratne informacije. TCP odabere veličinu segmenta, a kada ruter na putu ne može proslijediti nastali paket, trebalo bi to da kaže ICMP porukom. Enkapsulacija čini vanjski paket većim od unutrašnjeg, pa je upotrebljiva veličina unutar tunela uvijek ispod fizičke veze. Filtrirajte te ICMP poruke bilo gdje i pošiljalac nikada ne dobije ispravku, nastavlja slati pune segmente, a vanjski paket se odbacuje bez obavještenja.

Izmjerite plafon s obje strane

Uporedite MTU tunela s fizičkom vezom prije nego promijenite bilo koje od tog dvoje. Tunel koji je prepisao fizičku vrijednost već vam je rekao gdje je nesklad.

Provjerite iz unutrašnjosti tunela zahtjevom bez fragmentacije, spuštajući nosivost dok se odgovori ne vrate. Argument veličine broji samo nosivost, pa je radni broj uvijek ispod MTU-a interfejsa. Dodajte veličine zaglavlja natrag ako vam treba broj interfejsa.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Ponovite provjeru prema javnoj adresi servera izvan tunela. Ako velike provjere padnu i tamo, granica je na putu do servera i nijedna opcija tunela je neće pomjeriti. To poređenje vas spašava od podešavanja klijenta koji nikada nije bio problem. Zapišite oba rezultata prije nego otvorite konfiguracijsku datoteku.

mssfix i fragment rade različite poslove

mssfix ograničava veličinu segmenta koju TCP veze unutar tunela oglašavaju tokom rukovanja. To je pravi alat za SSH, HTTPS i kopiranje datoteka, zato zastoj često nestane kad se postavi. On uopšte ne dira UDP nosivosti.

Tunel koji nosi i UDP servis može nastaviti padati nakon što je SSH popravljen, a taj ishod zbunjuje svakoga ko pretpostavi da jedna opcija pokriva sve.

fragment je drugi mehanizam i druga alatka. Dijeli prevelike pakete prije enkapsulacije, važi samo za UDP transport, dodaje trošak po datagramu i dokumentovan je kao krajnje sredstvo za pokvareno otkrivanje. Obje postavke moraju se slagati kod partnera koji završavaju tunel. Jedan kraj ograničava dok drugi fragmentiše, što daje upozorenja u dnevniku i ponašanje koje niko ne može predvidjeti iz datoteka.

Spuštanje MTU-a interfejsa je gruba opcija

Smanjenje MTU-a interfejsa na oba kraja je grubo sredstvo. Ono svakom unutrašnjem pošiljaocu kaže manji broj, što radi, i taj trošak naplaćuje cijelom saobraćaju umjesto TCP tokovima kojima treba.

Odaberite ga kada tunel nosi saobraćaj koji ne možete ograničiti ili kada je klijent uređaj čiji profil ne kontrolišete. Primijenite ga simetrično i zapišite vrijednost uz profil. Polovično primijenjena promjena gora je od nikakve, jer izgleda kao popravka.

Ponovo testirajte s prijenosom koji se zaglavio

Ponovo se povežite da se postavke učitaju, otvorite novu vezu i ponovite naredbu koja se zaledila. Veličina segmenta dogovara se pri rukovanju, pa sesija koja je preživjela ponovno povezivanje još nosi staru vrijednost. Ping je ovdje slab test, jer je cijeli kvar u tome da mali paketi prolaze. Upotrijebite listing, preuzimanje ili lijepljenje koje se pokvarilo.

Ako zastoj potraje pri manjoj veličini, tražite drugdje: firewall sa stanjem koji ističe tok, duplicirana adresa ili ruta koja se pomjeri pri ponovnom povezivanju. Zapišite veličinu provjere koja je pala i postavku koju ste promijenili, jer taj par čini sljedeći izvještaj korisnim.